【安全】WEB配置安全

• NGINX安全配置
• APACHE安全配置
• TOMCAT安全配置

一、NGINX安全配置

NGINX安全配置主要注意以下几点

1、版本号隐藏配置：server_tokens off

2、禁止目录访问autoindex off;

3、nginx超时时间配置建议低于10秒

client_body_timeout 10;  # 该指令用于设置读取客户端请求内容的超时时间，默认是 60，  client_header_timeout 10;  # 该指令用于设置读取客户端请求 Header 头信息的超时时间，默认是 60  keepalive_timeout 10;  # 该指令用于设置 keep-alive 连接超时时间，之后服务器会中断连接，默认是 75  send_timeout 10;

二、APACHE安全配置

1、APACHE下module模块较多，建议删除不需要的module模块

2、apache防止拒绝服务攻击模块apahce Dos Evasive Maneuvers Module建议安装

3、apache服务option请求禁止使用

4、用chroot改变apache访问目录，禁止访问不需要的目录

5、不要开启.htaccess的使用方法，以免导致信息泄漏

6、重要系统通过access.conf配置访问权限

7、禁止目录索引功能，以免导致信息泄漏

8、禁止用户重载.htaccess 文件，相关配置为AllowOverride None

三、TOMCAT安全配置

1、Tomcat管理元登录配置文件tomcat/conf/tomcat-users.xml，用户名密码必须修改

2、关闭tomcat8080远程管理端口

3、Tomcat不能以root身份启动

4、Toncat安全更新地址http://tomcat.apache.org/security.html

5、tomcat配置连接超时时间要小于10秒配置文件为tomcat/conf/server.xml中connectionTimeout值配置最好小于"10"